免費給自己的網站加 HTTPS

weixin_33816946發表於2017-04-18
網站HTTP

簡介

本文是通過 Let's Encrypt 提供的免費證書服務，實現讓自己的網站加上 HTTPS。我的網站 —— hellogithub，就是通過這種方式實現的 HTTPS，效果如下：

759200-20170418173745493-940757890.png

Let's Encrypt

Let's Encrypt 是一個於2015年三季度推出的數字證書認證機構，將通過旨在消除當前手動建立和安裝證書的複雜過程的自動化流程，為安全網站提供免費的SSL/TLS證書。

通過 Let's Encrypt 提供的指令碼和服務，可以免費、方便 地給自己的網站加上 HTTPS，步驟簡單、方便快捷。

下面就一一道來，示例的操作環境如下：

系統版本：ubuntu 14.04，nginx 版本：nginx/1.4.6 (Ubuntu)

準備工作

  1. 檢視 nginx 版本：nginx -v
  2. 檢視 nginx 是否包含 ssl 模組：2>&1 nginx -V | tr ' ' '\n'|grep ssl
  3. 檢查 nginx 的重要配置：
user root;  ## 執行身份為 root
...
    server {
        # 後面用於 cerbot 驗證網站的所有權
        location /.well-known/ {
            root /path;
        }
    }
...

步驟

安裝 certbot

  1. 通過 Let's Encrypt 網站提供的 cerbot 安裝教程，選擇自己的配置方式和作業系統。
  2. 安裝 certbot。
sudo add-apt-repository ppa:certbot/certbot
sudo apt-get update
sudo apt-get install certbot
  1. 執行 certbot：certbot certonly，進入互動介面進行申請證書和驗證網站的所有權。
  2. 提高安全係數：sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

配置 nginx

下面以域名 example.com 為例：

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}


server {
    listen 443 ssl;

    server_name example.com www.example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_dhparam /etc/ssl/certs/dhparam.pem;
    ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:50m;
    ssl_stapling on;
    ssl_stapling_verify on;
    add_header Strict-Transport-Security max-age=15768000;
    ...
}

自動續簽證書

Let's Encrypt 的證書 90 天過期，所以需要定期檢查證書是否過期，同時續期。

  1. 檢視 cerbot 指令碼位置：sudo which cerbot
  2. 編輯 crontab ：sudo crontab -e
30 2 * * 6 /cerbot 指令碼位置/certbot renew --dry-run >> /var/log/le-renew.log
35 2 * * 6 /usr/sbin/service nginx reload

每週六 2:30 檢查證書，然後 2:35 重新載入 nginx 配置

參考

相關文章